Política de seguridad

01Compromiso de seguridad

La seguridad de la información es un pilar fundamental del servicio Funneld. Aplicamos un enfoque por capas, alineado con buenas prácticas reconocidas internacionalmente (ISO/IEC 27001, NIST CSF, CIS Controls), para proteger la confidencialidad, integridad y disponibilidad de los datos que tratamos en nombre de nuestros clientes.

02Cifrado en tránsito y en reposo

• En tránsito: todas las comunicaciones entre el cliente, la plataforma y los servicios internos utilizan TLS 1.2 o superior, con preferencia por TLS 1.3 y suites de cifrado modernas (AEAD).
• En reposo: los datos almacenados en bases de datos y en sistemas de copias de seguridad se cifran con AES-256.
• Gestión de claves: las claves criptográficas se custodian en KMS gestionado, con rotación periódica y separación de roles.
• Secretos de aplicación: credenciales, tokens y claves de API se almacenan en gestores de secretos cifrados, nunca en código fuente ni en repositorios.

03Control de accesos e identidades

• Principio de mínimo privilegio: cada persona accede únicamente a los recursos estrictamente necesarios para su rol.
• Autenticación multifactor (MFA) obligatoria para los accesos a sistemas internos, paneles de administración y proveedores cloud.
• Control de accesos basado en roles (RBAC) y revisiones periódicas de permisos.
• Política de contraseñas robusta con verificación contra listados de contraseñas comprometidas.
• Cierre de sesiones inactivas y bloqueo automático tras intentos fallidos.

04Aislamiento, redundancia y copias de seguridad

• Aislamiento de entornos: los entornos de producción, preproducción y desarrollo están segregados a nivel de red y de credenciales.
• Redundancia y alta disponibilidad: arquitectura multi-zona con balanceo y conmutación automática ante fallos.
• Copias de seguridad cifradas realizadas con frecuencia diaria, con retención escalonada (corto, medio y largo plazo) y verificaciones periódicas de restauración.
• Plan de continuidad de negocio con objetivos de RPO y RTO definidos por criticidad.

05Registros, auditoría y monitorización

• Logs centralizados e inmutables de accesos, cambios de configuración y acciones administrativas.
• Monitorización continua de la disponibilidad de los servicios y detección de comportamientos anómalos.
• Trazabilidad por lead: origen, criterios y entrega quedan documentados en el panel del Cliente.
• Auditorías internas periódicas y revisiones independientes cuando se considere oportuno.

06Gestión de proveedores y subencargados

Todos los proveedores que tratan datos por cuenta de Funneld son sometidos a un proceso de evaluación previa que incluye:

• Análisis de medidas técnicas y organizativas declaradas.
• Certificaciones disponibles (ISO 27001, SOC 2, etc.) y referencias.
• Cláusulas contractuales conforme al art. 28 RGPD.
• Mecanismos de transferencia internacional cuando proceda.

Mantenemos un listado interno de subencargados actualizado, accesible bajo petición justificada para clientes empresariales.

07Respuesta a incidentes

Disponemos de un procedimiento formal de respuesta a incidentes con roles asignados, escenarios definidos y canales de comunicación preestablecidos:

1. Detección: alertas automáticas y reportes internos o externos.
2. Contención y mitigación inicial para limitar el impacto.
3. Investigación forense y análisis de causa raíz.
4. Comunicación: notificación a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas cuando proceda, y a los clientes y/o usuarios afectados según el nivel de riesgo.
5. Cierre y lecciones aprendidas: documentación interna y mejoras del sistema.

08Desarrollo seguro y mejora continua

• Revisiones de código obligatorias antes de desplegar cambios.
• Análisis estático y de dependencias automatizados en el pipeline de integración.
• Pruebas de seguridad periódicas (pentesting, análisis de vulnerabilidades).
• Formación interna en seguridad y protección de datos para todo el equipo.
• Gestión de parches de sistemas operativos, dependencias y herramientas críticas.

09Reporte responsable de vulnerabilidades

Si has identificado una vulnerabilidad de seguridad en cualquier parte del servicio, te agradecemos que nos la comuniques de forma responsable a security@funneld.net. Investigamos cada reporte en un plazo razonable y agradecemos públicamente las contribuciones cuando proceda.

Por favor, no realices pruebas que comprometan la disponibilidad del servicio ni la privacidad de otros usuarios.